PS-00088-2014

1/15 Procedimiento Nº PS/00088/2014 RESOLUCIÓN: R/01694/2014 En el procedimiento sancionador PS/00088/2014, instruido por la Agencia Española de Protección de Datos a la entidad FORD ESPAÑA, S.L., vista la denuncia presentada por D. A.A.A. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 27/02/2013, tuvo entrada en esta Agencia un escrito presentado por D. A.A.A. (en lo sucesivo el denunciante), contra la entidad FORD ESPAÑA, S.L. (en lo sucesivo FORD) por no atender su solicitud de cancelación realizada con fecha 23/01/2013 mediante correo electrónico remitido a la dirección que informan en su página web: ......@infoford.com, y solicita la tutela de la AEPD para que inste la cancelación de sus datos y adopte las medidas sancionadoras correspondientes contra dicha entidad. Con su denuncia, aportó copia de un escrito que le fue remitido por FORD, fechado en noviembre de 2012, en el que la citada entidad se refiere al contacto realizado por el denunciante a través de la “Línea Directa FORD” y al servicio recibido; así como copia del correo electrónico remitido por el mismo a la dirección ......@infoford.com, de fecha 23/01/2013, en el que señala que, aunque recibió una llamada telefónica semanas después de su solicitud, no ha recibido ningún servicio, a pesar de lo indicado en la comunicación de noviembre de 2012, y solicita que cancelen todos sus datos personales y le comuniquen que dicha cancelación se ha producido. Posteriormente, con fecha 17/04/2013, se recibe en la AEPD un nuevo escrito del denunciante en el que manifiesta que ha recibido llamadas de FORD, concretamente en fechas 04 y 10/04/2013, esta última llamada realizada desde el número ***TEL.1, y que en ambos casos reiteró su solicitud de cancelación de datos. Añade que no tampoco ha recibido contestación a su solicitud de enero de 2013. SEGUNDO: Con fecha 10/04/2013, el Director de la Agencia dictó resolución acordando la inadmisión a trámite de la reclamación de tutela de derechos recibida en fecha 27/02/2013, formulada por el denunciante, que dio lugar al procedimiento señalado con el número TD/00569/2013, considerando que la solicitud de cancelación remitida por correo electrónico no permite acreditar su recepción por la entidad reclamada. Contra este acuerdo de inadmisión, el denunciante interpuso recurso de reposición, que fue desestimado mediante Resolución del Director de la Agencia de fecha 08/07/2013 por los mismos motivos señalados. En esta Resolución, sin embargo, considerando que el medio empleado por el denunciante para dirigir a FORD su solicitud de cancelación de datos fue el indicado por dicha entidad a través de su web, se ordenó el inicio de las Actuaciones de investigación con referencia E/03814/2013 para el esclarecimiento de los hechos. TERCERO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se practicaron las siguientes actuaciones: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/15 1. Con fecha 16/01/2014, se realizó inspección en los locales de la entidad Wunderman, S.L., en calidad de encargada del tratamiento del fichero de Clientes/Potenciales Clientes de FORD, informándose a los representantes de la entidad que la visita tenía relación con la denuncia presentada por el denunciante en relación con su solicitud de cancelación de sus datos como cliente potencial, presentada a través de la dirección de correo electrónico “......@infoford.com”, en la que manifiesta que dicha cancelación no se ha producido y además ha recibido con posterioridad llamadas desde un concesionario con el número de teléfono ***TEL.1, que según se ha comprobado desde la Agencia pertenece a un concesionario ubicado en Granada. Durante la inspección se pusieron de manifiesto los siguientes hechos: 1.1. Wunderman, S.L. actúa como encargado del tratamiento del fichero de Clientes/Potenciales Clientes responsabilidad de FORD, con quien mantiene un contrato de prestación de servicios con esta finalidad. 1.2. Cuando una persona realiza una solicitud de información sobre vehículos, tanto información como prueba de un vehículo o un catálogo, a través de la web, se recogen una serie de datos que quedan incorporados en un fichero cuyo responsable es FORD, denominado CUPID, inscrito en el Registro General de Protección de Datos, siendo el encargado del tratamiento del citado fichero Wunderman, S.L. 1.3. En los casos de información o prueba de vehículos, los datos de estos clientes potenciales son suministrados a uno de los concesionarios con los que FORD mantiene contrato de prestación de servicio, con la finalidad de que se pongan en contacto con el posible cliente y atender su petición. Para la gestión de esta información existe un boletín en el que se especifican las normas a seguir con relación a la protección de datos de los interesados, entre las que se encuentra que en todo los casos existen unos plazos de utilización de la información suministrada por FORD y una vez superado los mismos deberán confirmar la vigencia de los datos con FORD. 1.4. Cuando se recibe una solicitud a través de la página web, se realiza desde el call center de Wunderman, S.L. una llamada telefónica de confirmación de la solicitud, con la finalidad de remitir, en su caso, la información al correspondiente concesionario. Así mismo, con posterioridad se remite una carta al interesado para comprobar que los trámites han sido de su agrado. 1.5. Las solicitudes de baja por parte de posibles clientes se pueden realizar, según consta en la página web, a través de correo postal, teléfono de contacto o a través de la web en la dirección ......@infoford.com, en cualquiera de los casos el procedimiento establecido es el siguiente: 1.5.1.Cuando llega la solicitud de baja o cancelación de datos se realiza el bloqueo de los datos y se da contestación al interesado bien mediante correo electrónico o correo postal. 1.5.2.Con relación a las comunicaciones de los concesionarios con los posibles clientes, éstos deberán seguir las instrucciones dadas en el boletín antes citado, comprobando así la vigencia de los datos. Mediante el acceso al Sistema informático de la entidad, se comprueba: 1.6. Se realiza una búsqueda de los datos utilizando como argumento el número de DNI del reclamante, verificando que corresponde al mismo. 1.7. Se verifica que, con fecha 18/10/2012 consta una solicitud de información a través de internet. También se comprueba que existe el comentario “Dealer contact request via telephone”, que se ha realizado la llamada y se ha remitido la información al concesionario “12300”, correspondiente a la empresa AUTOCONCESIONARIOS, S.L., de Granada. También consta el comentario sobre el interés del cliente en su solicitud. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/15 1.8. Se accede al fichero donde se encuentran las fichas de clientes remitidas a los concesionarios, comprobándose la existencia de una ficha a nombre del reclamante, y que la información se ha remitido a AUTOCONCESIONARIOS, S.L., con fecha 19/10/2012 y que fue recogido en el mismo con fecha 26/10/2012. 1.9. Se accede al correo electrónico de la empleada encargada de la tramitación de solicitudes de Baja, comprobándose la existencia del correo remitido por el reclamante con fecha 23/01/2013, así como otro correo dirigido a FORD trasladando dicha cancelación, de la misma fecha. En este correo que la entidad Wunderman, S.L. dirige a FORD, que tiene como Asunto “Cancelación Datos”, se indica lo siguiente: “Hola, os reenvío este correo. Es de un señor que solicitó información en octubre en la web. Nosotros en Wunderman, desde BCenter le llamamos y pasamos la ficha a la concesión 12300 Autoconcesionarios el día 19 de octubre. Desde el ftp veo que se generó el fichero con éxito de la descarga. Un mes después, desde al BC se vuelve a llamar y no había sido contactado por la concesión. La carta de agradecimiento que enviamos a los leads le debió llegar hace poco y como consecuencia de ésta y al no haber sido contactado por la concesión, solicitó su baja de nuestra Base de datos… ¿lo damos de baja o intentamos recuperarle con otra concesión o con lo que se te ocurra?”. No existe constancia de la contestación al cliente. 2. Con fecha 22/01/2014 se recibe información y documentación complementaria a la visita de inspección aportada por la entidad FORD: 2.1. Copia del contrato suscrito entre FORD y AUTOCONCESIONARIOS, S.A.,. 2.2. Se adjunta copia del Boletín remitido a los concesionarios para la gestión de clientes/potenciales clientes, entre otros, donde consta que para las comunicaciones directas con los clientes desde los concesionarios, han de solicitar al Departamento de CRM de Ford España, el listado de clientes actualizado, para evitar contactar con personas que hayan solicitado su supresión. 2.3. Se adjunta copia del último contrato suscrito con la entidad Wunderman, S.L. 2.4. No ha sido posible localizar la carta de comunicación de baja de los datos al denunciante. 3. Con fecha 22/01/2014 se recibe en esta Agencia escrito de AUTOCONCESIONARIOS, S.L., en el que pone de manifiesto que: 3.1. No cuentan con ningún dato en su fichero correspondiente al denunciante. 3.2. El Concesionario no se puso en contacto con él en abril de 2013. 3.3. El único conocimiento que tienen sobre el mismo es el contacto que este señor tuvo con FORD España a través de la página web y que fue transmitida a su Concesionario para que se pusieran en contacto con él. 3.4. En fecha 29/10/2012, cuando le llamaron para darle la información solicitada, pidió que le dieran de baja de la Base de Datos, siendo gestionada a través del portal. CUARTO: Con fecha 25/02/2014, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a FORD, por la presunta infracción del artículo 16 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como infracción grave en su artículo 44.3.e), pudiendo ser sancionada con multa de 40.001 euros a 300.000 euros, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. QUINTO: Notificado el acuerdo de inicio, FORD presentó escrito de alegaciones en el que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/15 manifiesta lo siguiente: 1. Señala que las actuaciones son extemporáneas por haber transcurrido el plazo para el procedimiento de tutela de derechos iniciado, que fue resuelto negativamente en fecha 22/02/2013, posteriormente recurrido en reposición que también fue desestimada por Resolución de 08/07/2013, habiéndose practicado la siguiente actuación el 14/01/2014, en la que se requirió información a la entidad FORD cuando habían transcurrido 6 meses y 6 días: lapso temporal que excede del máximo previsto legalmente para la tramitación del procedimiento de tutela de derechos (que es 6 meses), sin que la inspección realizada en las oficinas de WUNDERMAN, S.L, pueda ser interpretada como un actuación derivada de un expediente sancionador independiente, por cuanto la misma se centró en revisar las actuaciones realizadas por las entidades inspeccionadas en relación con el Reclamante. La inspección realizada, transcurridos más de 6 meses desde la última actuación realizada en el proceso de tutela de derechos, no puede subsanar el agotamiento del plazo administrativo, resultando de aplicación lo previsto en el artículo 62 (Nulidad de pleno derecho) de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (LRJPAC), y el principio de seguridad jurídica en la actuación de la Administración recogido en el artículo 9.1 de la Constitución Española. En apoyo de la anterior, cita la Sentencia de la Audiencia Nacional de 30/01/2014, si bien centrada en la prescripción extintiva del art. 150.5 de la Ley General Tributaria, cuyas conclusiones son aplicables mutatis mutandi, al presente expediente, en cuanto a las consecuencias de haberse excedido el plazo legal establecido para la resolución del expediente: “En conclusión, el deber de la Administración de ejecutar de forma puntual, completa y adecuada sus propias resoluciones, sin esperar para ello la acción o el estímulo del interesado, concurre en este caso con el deber, también de oficio, de apreciar la prescripción cuando en atención a los plazos legales y a la inactividad observada se haya producido aquélla, con correlativo decaimiento de la potestad”. 2. Por otra parte, manifiesta que FORD no ha impedido u obstaculizado el ejercicio del derecho de cancelación al Reclamante (art. 43.3.e de la LOPD), entendiendo que las conclusiones reseñadas en el Acuerdo de Iniciación no reflejan fielmente una lógica y estricta interpretación de los hechos acaecidos en relación con la tutela de derechos pretendida por el Reclamante, pues no ha habido ni impedimento ni obstaculización alguna al ejercicio del derecho de oposición por parte del Reclamante (de hecho se pone a su disposición un método ágil y sencillo para ello como lo es el correo electrónico y, posteriormente, en una llamada de medición de la calidad del servicio prestado al Reclamante, es cuando éste manifiesta su insatisfacción con el servicio prestado -no se le había atendido por el concesionario- y que había ejercitado su derecho a la cancelación de sus datos, sin que se le haya vuelto a contactar ni para una finalidad ni para otra). Entiende, por ello, que no ha habido ni obstaculización ni impedimento, por mucho que la actuación de esta Entidad fuera mejorable, sin perjuicio de la lógica indignación al respecto del Reclamante, derivada de una actuación (o falta de actuación) de un tercero, el concesionario. Por otro lado, las impresiones de las pantallas de ordenador (relativas al ejercicio del derecho de cancelación del Reclamante) obtenidas en la inspección realizada por la AEPD, el pasado 16 de enero de 2014, en las oficinas del encargado del tratamiento, así lo demuestran, pues consta en las mismas (folio 63), la expresión en idioma inglés "020 Core Supressions Start 060409, lo que pude traducirse como "020 Supresión Principal Comienzo el 060409". Lo anterior pudo constatarse por una de las inspectoras, en la inspección realizada en las dependencias de Wunderman, S.L., quien inquirió el motivo de que la supresión o cancelación C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/15 figurara con fecha 6 de abril de 2009, a quien se aclaró que el sistema no había aceptado la nueva cancelación al ya constar en el mismo que el Reclamante estaba dado de alta en las "Listas Robinson". Es decir, hay una actuación mejorable, pero en forma alguna se obstó o se impidió al ejercicio del derecho de cancelación por parte del Reclamante. Otra cosa diferente es que no se contestara al correo electrónico remitido por WUNDERMAN, S.L. a FORD, el 23/01/2013, de cuya recepción tampoco se tiene constancia, por lo que es muy difícil poder determinar si pudo o no ser respondido (folio 66), llamando la atención que el mismo no se acompañe de un acuse de recibo. Sin perjuicio de lo anterior, lo cierto es que en dichas fechas, la persona a la que se remitió, se ha podido averiguar, estaba pendiente de una próxima operación. Se acompaña, a efectos probatorios, el parte de baja de la empleada que figura en el correo electrónico de WUNDERMAN, S.L. con fechas de duración desde el 6 de febrero al 26 de marzo de 2013. De cualquier forma, en la llamada mantenida con posterioridad para comprobar si se le había prestado el servicio solicitado y si estaba o no satisfecho con el mismo (es seguimiento del contacto iniciado por el Reclamante, no de ofrecimiento de productos) en la que el Reclamante reiteró su deseo de que se borraran todos sus datos, ya se confirmó que se pasaba nota para su definitiva cancelación; por lo que confirmación de la cancelación hubo (aunque no por escrito). Hay un cúmulo de circunstancias desgraciadas que confluyen, pero en forma alguna una actuación que como tal (de una forma u otra) impida o dificulte el ejercicio del derecho a la cancelación por parte del Reclamante. En base a ello invoca el principio de tipicidad. 3. Entiende que en la actuación de FORD no concurre la necesaria "culpabilidad", al haber quedado acreditada la existencia de un proceso reglado de ejercicio de los derechos ARCO y haberse debido, la ausencia de contestación escrita al Reclamante a su solicitud de cancelación de sus datos, a la ausencia por enfermedad de la persona de Ford España contactada, para la confirmación de la cancelación de los datos, sin perjuicio de que la cancelación de los datos se hubiera producido y se confirmara por teléfono con el Reclamante. 4. Finalmente, invoca el artículo 45.6 LOPD y las circunstancias atenuantes del art. 45.5 LOPD, señalando que no ha sido sancionada o apercibida previamente. Destaca que la compañía tiene programas de cumplimiento a nivel mundial relativos a la protección de los datos de carácter personal, lo cual queda acreditado, entre otros extremos, porque su matriz (la compañía norteamericana Ford Motor Company) está acogida voluntariamente a los principios de puerto seguro de protección a la vida privada "safe harbour" -Decisión de la Comisión de 26 de julio de 2000-2000/520/CE-. Por otro lado, considera que concurren en el presente caso las circunstancias previstas en el art. 45.4 de la LOPD. De esta manera, (

1. i)se trata de una actuación aislada sin reincidencia, (
2. ii)no se ha obtenido beneficio alguno (de hecho, el Reclamante no adquirió el vehículo por el que se interesó inicialmente), (iii) no ha existido intencionalidad alguna, (
3. iv)no se ha ocasionado ningún otro perjuicio, y (
4. v)se ha acreditado que esta Entidad tenía implantados procedimientos adecuados para el ejercicio de los derechos de cancelación por parte de los afectados. Asimismo, añade que está procediendo, conjuntamente con Wunderman, S.L., a la mejora del proceso de ejercicio de los derechos ARCO, a través de la elaboración de un documento (todavía en fase de borrador) denominado "Procedimiento de Ejercicio de Derechos ARCO Wundeman, S.L.", una copia del cual se acompaña, y efectúa un ofrecimiento de colaboración con la finalidad de mejorar la aplicación de la normativa de protección de datos en sus ficheros y, en concreto, en las medidas para facilitar el ejercicio de los derechos ARCO por parte de sus clientes o C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/15 prospectos; extremo que le lleva a volver a reiterar la solicitud de, en todo caso, y sin perjuicio de las anteriores alegaciones, instar la posible aplicación del art. 45.6 LOPD. SEXTO: Con fecha 10/04/2014, se inició el período de práctica de pruebas, teniéndose por reproducidos a efectos probatorios la denuncia interpuesta y su documentación, los documentos obtenidos y generados por los Servicios de Inspección, y el Informe de actuaciones previas de Inspección que forman parte del expediente E/03814/2013. Asimismo, se dieron por reproducidas a efectos probatorios, las alegaciones al acuerdo de inicio presentadas por la entidad FORD, y la documentación que a ellas acompaña. Por otra parte, el instructor del procedimiento acordó incorporar a las actuaciones copia impresa de la información sobre “Política de Privacidad” insertada en el sitio web “ford.es” y el “Informe de búsqueda de intervinientes con sanciones o apercibimientos previos”, en el que consta que la entidad FORD no ha sido sancionada o apercibida por esta Agencia Española de Protección de Datos con anterioridad. En relación con el ejercicio de derechos, en la Política de Privacidad se indica lo siguiente: <<8. Los usuarios cuyos datos sean objeto de tratamiento podrán ejercitar gratuitamente los derechos de oposición, acceso e información, rectificación, cancelación de sus datos y revocación de su autorización, sin efectos retroactivos, en los términos especificados en la Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal y Reglamento que la desarrolla, conforme al procedimiento legalmente establecido. Estos derechos podrán ser ejercitados dirigiendo comunicación por escrito acompañado por fotocopia del DNI a Ford España, S.L., Departamento de Clientes, Aptdo. de Correos nº **, (Valencia), en el teléfono 902****** o a través de correo electrónico dirigido a ......@infoford.com>>. SEPTIMO: Con fecha 04/07/2014, se emitió propuesta de resolución en el sentido de que por el Director de la Agencia Española de Protección de Datos se sancione a la entidad FORD con multa de 6.000 euros (seis mil euros), por la infracción del artículo 16 de la LOPD, tipificada como grave en el artículo 44.3.e), y de conformidad con lo establecido en el artículo 45.1, 2, 4 y 5 de la citada Ley Orgánica. Notificada la citada propuesta, el plazo concedido a la entidad FORD transcurre sin que en esta Agencia se haya recibido escrito alguno. HECHOS PROBADOS 1. Con fecha 18/10/2012, el denunciante facilitó sus datos personales a la entidad FORD con motivo de una consulta realizada por el mismo a través de Internet sobre los productos y servicios de la compañía. Dichos datos fueron registrados en el sistema de información de FORD. 2. Con fecha 19/10/2012, los datos personales del denunciante fueron facilitados por FORD a la entidad AUTOCONCESIONARIOS, S.L., de Granada, para que fuera atendida la solicitud del mismo reseñada en el Hecho Probado Primero. 3. Mediante escrito fechado en noviembre de 2012, la entidad FORD se dirige al denunciante en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/15 relación con el contacto que fue realizado por el mismo a través de la “Línea Directa FORD”. 4. Según consta en la Política de Privacidad insertada en el sitio web “ford.es”, los derechos de acceso, rectificación, cancelación y oposición al tratamiento de datos personales podrán ejercitarse, entre otros medios, “a través de correo electrónico dirigido a ......@infoford.com”. 5. Con fecha 23/01/2013, el denunciante remitió un correo electrónico a la dirección ......@infoford.com, en el que solicita a FORD la cancelación de todos sus datos personales y que le comuniquen que dicha cancelación se ha producido. 6. El correo electrónico reseñado en el Hecho Probado Cuarto fue recibido por Wunderman, S.L., en calidad de encargada del tratamiento del fichero de Clientes/Potenciales Clientes de FORD, y trasladado por aquella entidad a esta última en la misma fecha. En este correo que la entidad Wunderman, S.L. dirige a FORD, que tiene como Asunto “Cancelación Datos”, se indica lo siguiente: “Hola, os reenvío este correo. Es de un señor que solicitó información en octubre en la web. Nosotros en Wunderman, desde BCenter le llamamos y pasamos la ficha a la concesión 12300 Autoconcesionarios el día 19 de octubre. Desde el ftp veo que se generó el fichero con éxito de la descarga. Un mes después, desde al BC se vuelve a llamar y no había sido contactado por la concesión. La carta de agradecimiento que enviamos a los leads le debió llegar hace poco y como consecuencia de ésta y al no haber sido contactado por la concesión, solicitó su baja de nuestra Base de datos… ¿lo damos de baja o intentamos recuperarle con otra concesión o con lo que se te ocurra?”. 7. Los Servicios de Inspección de la Agencia Española de Protección de Datos constataron, durante la fase previa de investigación, que la solicitud de cancelación de datos personales formulada por el denunciante en fecha 23/01/2013 no fue contestada por la entidad FORD. Esta entidad, durante la tramitación del procedimiento, ha reconocido que no remitió al denunciante ningún escrito de respuesta a dicha solicitud. 8. Con fecha 17/04/2013, se recibió en la Agencia Española de Protección de Datos un escrito del denunciante en el que manifestó que había recibido llamadas de FORD, concretamente en fechas 04 y 10/04/2013, esta última realizada desde el número ***TEL.1, y que en ambos casos reiteró su solicitud de cancelación de datos. 9. En el Acta de Inspección de 16/01/2014, incorporada a las actuaciones, consta que los Servicios de Inspección de la Agencia Española de Protección de Datos comprobaron que el número de teléfono ***TEL.1 pertenece a un concesionario ubicado en Granada. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
5. g)en relación con el artículo 36 de la LOPD. II Con carácter previo debe señalarse que el artículo 68 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC), determina que “los procedimientos podrán C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/15 incoarse de oficio o a solicitud de persona interesada”. Por otra parte, los artículos 122 y 126 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, establecen lo siguiente: “Artículo 122. Iniciación. 1. Con anterioridad a la iniciación del procedimiento sancionador, se podrán realizar actuaciones previas con objeto de determinar si concurren circunstancias que justifiquen tal iniciación. En especial, estas actuaciones se orientarán a determinar, con la mayor precisión posible, los hechos que pudieran justificar la incoación del procedimiento, identificar la persona u órgano que pudiera resultar responsable y fijar las circunstancias relevantes que pudieran concurrir en el caso. 2. Las actuaciones previas se llevarán a cabo de oficio por la Agencia Española de Protección de Datos, bien por iniciativa propia o como consecuencia de la existencia de una denuncia o una petición razonada de otro órgano”. “Artículo 126. Resultado de las actuaciones previas. 1. Finalizadas las actuaciones previas, éstas se someterán a la decisión del Director de la Agencia Española de Protección de Datos. Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso. 2. En caso de apreciarse la existencia de indicios susceptibles de motivar la imputación de una infracción, el Director de la Agencia Española de Protección de Datos dictará acuerdo de inicio de procedimiento sancionador o de infracción de las Administraciones públicas, que se tramitarán conforme a lo dispuesto, respectivamente, en las secciones tercera y cuarta del presente capítulo”. En este caso, con fecha 27/02/2013, el denunciante presentó escrito contra la entidad FORD solicitando la tutela de la AEPD para que inste la cancelación de sus datos y adopte las medidas sancionadoras correspondientes contra dicha entidad. Con este motivo, con fecha 10/04/2013, el Director de la Agencia dictó resolución acordando la inadmisión a trámite de la reclamación de tutela de derechos, considerando que la solicitud de cancelación remitida por correo electrónico no permite acreditar su recepción por la entidad reclamada, y por los mismos motivos desestimó el recurso de reposición interpuesto contra la misma mediante Resolución de fecha 08/07/2013. Sin embargo, en esta Resolución, considerando la denuncia formulada y con el propósito de verificar el procedimiento señalado por FORD para el ejercicio de los derechos ARCO, conforme a las normas señaladas se ordenó el inicio de las Actuaciones de investigación para el esclarecimiento de los hechos, que han dado lugar a la apertura del presente procedimiento sancionador. Por otra parte, la entidad FORD se refiere en su escrito de alegaciones al deber de apreciar de oficio la prescripción por el transcurso de los plazos legales. La LOPD, en el artículo 47.1, 2 y 3, establece: “1. Las infracciones muy graves prescribirán a los tres años, las graves a los dos años y las leves al año. 2. El plazo de prescripción comenzará a contarse desde el día en que la infracción se hubiera cometido. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/15 3. Interrumpirá la prescripción la iniciación, con conocimiento del interesado, del procedimiento sancionador, reanudándose el plazo de prescripción si el expediente sancionador estuviere paralizado durante más de seis meses por causas no imputables al presunto infractor”. Por otra parte, como señala el artículo 132.2 de la LRJPAC, “El plazo de prescripción de las infracciones comenzará a contarse desde el día que la infracción se hubiera cometido. Interrumpirá la prescripción la iniciación, con conocimiento del interesado, del procedimiento sancionador”. El presente supuesto tiene por objeto el examen de unos hechos supuestamente constitutivos de infracción al artículo 16 de la LOPD, tipificada como grave en el artículo 44.3.
6. e)de dicha norma. Por tanto, de acuerdo con las normas indicadas, la infracción que se analiza prescribe en el plazo de dos años contados desde el día en que la infracción se hubiera cometido. En relación con esta presunta infracción, no pueden tenerse en cuenta las alegaciones formuladas sobre la prescripción de la misma. La infracción que se imputa resulta de la no cancelación efectiva de los datos personales del denunciante, que fue solicitada por el mismo en fecha 23/01/2013. Por tanto, en el momento en que tiene lugar la notificación de apertura del procedimiento, en fecha 27/02/2014, no habían transcurrido los dos años establecidos para que opere el instituto de la prescripción, de modo que la infracción que se imputa no había prescrito el día en que fue notificado el inicio del presente procedimiento sancionador. III El presente procedimiento tiene por objeto el examen de la denuncia formulada por la no cancelación efectiva de los datos personales del denunciante registrados en los ficheros de la entidad FORD, que podría suponer la comisión, por parte de la misma, de una infracción del artículo 16 de la LOPD. El artículo 16 de la LOPD, que dispone lo siguiente: “1. El responsable del tratamiento tendrá la obligación de hacer efectivo el derecho de rectificación o cancelación del interesado en el plazo de diez días. 2. Serán rectificados o cancelados, en su caso, los datos de carácter personal cuyo tratamiento no se ajuste a lo dispuesto en la presente Ley y, en particular, cuando tales datos resulten inexactos o incompletos. 3. La cancelación dará lugar al bloqueo de los datos, conservándose únicamente a disposición de las Administraciones Públicas, Jueces y Tribunales, para la atención de las posibles responsabilidades nacidas del tratamiento, durante el plazo de prescripción de éstas. Cumplido el citado plazo deberá procederse a la supresión. 4. Si los datos rectificados o cancelados hubieran sido comunicados previamente, el responsable del tratamiento deberá notificar la rectificación o cancelación efectuada a quien se hayan comunicado, en el caso de que se mantenga el tratamiento por este último, que deberá también proceder a la cancelación. 5. Los datos de carácter personal deberán ser conservados durante los plazos previstos en las disposiciones aplicables o, en su caso, en las relaciones contractuales entre la persona o entidad responsable del tratamiento y el interesado”. Por otra parte, los artículos 25, 31 y 32 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, establecen lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/15 “Artículo 25. Procedimiento”. “2. El responsable del tratamiento deberá contestar la solicitud que se le dirija en todo caso, con independencia de que figuren o no datos personales del afectado en sus ficheros. (…) 5. Corresponderá al responsable del tratamiento la prueba del cumplimiento del deber de respuesta al que se refiere el apartado 2, debiendo conservar la acreditación del cumplimiento del mencionado deber”. “Artículo 31. Derechos de rectificación y cancelación”. “2. El ejercicio del derecho de cancelación dará lugar a que se supriman los datos que resulten ser inadecuados o excesivos, sin perjuicio del deber de bloqueo conforme a este reglamento. En los supuestos en que el interesado invoque el ejercicio del derecho de cancelación para revocar el consentimiento previamente prestado, se estará a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, y en el presente reglamento”. “Artículo 32. Ejercicio de los derechos de rectificación y cancelación. 1. La solicitud de rectificación deberá indicar a qué datos se refiere y la corrección que haya de realizarse y deberá ir acompañada de la documentación justificativa de lo solicitado. En la solicitud de cancelación, el interesado deberá indicar a qué datos se refiere, aportando al efecto la documentación que lo justifique, en su caso. 2. El responsable del fichero resolverá sobre la solicitud de rectificación o cancelación en el plazo máximo de diez días a contar desde la recepción de la solicitud. Transcurrido el plazo sin que de forma expresa se responda a la petición, el interesado podrá interponer la reclamación prevista en el artículo 18 de la Ley Orgánica 15/1999, de 13 de diciembre. En el caso de que no disponga de datos de carácter personal del afectado deberá igualmente comunicárselo en el mismo plazo. 3. Si los datos rectificados o cancelados hubieran sido cedidos previamente, el responsable del fichero deberá comunicar la rectificación o cancelación efectuada al cesionario, en idéntico plazo, para que éste, también en el plazo de diez días contados desde la recepción de dicha comunicación, proceda, asimismo, a rectificar o cancelar los datos. La rectificación o cancelación efectuada por el cesionario no requerirá comunicación alguna al interesado, sin perjuicio del ejercicio de los derechos por parte de los interesados reconocidos en la Ley Orgánica 15/1999, de 13 de diciembre”. Por tanto, deberá procederse a la cancelación de los datos cuando lo solicite el interesado o cuando hayan dejado de ser necesarios para la finalidad que justificó su tratamiento, como sucederá cuando se haya cumplido la relación que vincula al afectado con el responsable del tratamiento, aunque, por virtud de la propia relación jurídica o por razón de las responsabilidades que pudieran derivarse de la misma, impuestas por una Ley, dicha cancelación pueda producirse mediante la modalidad de bloqueo de los datos de carácter personal sometidos a tratamiento, que no implicará automáticamente su borrado físico en las circunstancias recogidas en el citado artículo 16.3, in fine de la citada LOPD. En los casos en que la cancelación se solicite por el afectado, la misma deberá llevarse a efecto en el plazo de diez días, imponiéndose al responsable del fichero la obligación de contestar “la solicitud que se le dirija en todo caso, con independencia de que figuren o no datos personales del afectado en sus ficheros”. Además, “si los datos rectificados o cancelados hubieran sido cedidos previamente, el responsable del fichero deberá comunicar la rectificación o cancelación efectuada al cesionario, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/15 en idéntico plazo, para que éste, también en el plazo de diez días contados desde la recepción de dicha comunicación, proceda, asimismo, a rectificar o cancelar los datos”, aunque esta cancelación por el cesionario no es obligatorio comunicarla al afectado. IV En el presente caso, consta acreditado que el denunciante facilitó sus datos personales a la entidad FORD, con el fin de que le fuese aportada información sobre los productos y servicios de la entidad. Asimismo, consta que tales datos fueron comunicados por FORD a la entidad Autoconcesionarios, S.L., con el propósito de que aquella petición de información fuese atendida. Consta, igualmente, que con fecha 23/01/2013 el denunciante ejercitó ante la entidad FORD el derecho de cancelación de sus datos, utilizando para ello uno de los canales establecidos por la propia entidad citada en la Política de Privacidad insertada en su web, mediante correo electrónico dirigido a dirección habilitada con este fin, sin que dicha solicitud de cancelación haya sido contestado por ningún medio. Al contrario, habiendo comprobado que la petición de información del denunciante no había sido atendida, en el momento en que éste ejercitó el derecho de cancelación, en lugar de atenderlo, plantearon recuperar la solicitud de información sobre los servicios de la entidad remitiendo los datos a otro concesionario o por otro medio, habiéndole realizado llamadas telefónicas con este fin en fechas posteriores al ejercicio del derecho, lo que supone un tratamiento de los datos del denunciante contrario a la disposición efectuada por éste y demuestra, en definitiva, que el derecho no fue atendido. Además, no sólo se incumplió la obligación de contestar la solicitud de cancelación, sino también la de comunicar dicha cancelación a los cesionarios para que éstos, a su vez, procedieran a cancelar los datos. En consecuencia, esta conducta realizada por la entidad FORD infringe la normativa de protección de datos y, en concreto, lo dispuesto en el artículo 16 de la LOPD, conforme al derecho de cancelación ejercitado por el denunciante. Así, habiendo quedado acreditado que el denunciante ejerció el derecho de cancelación de sus datos personales, sin que se advirtiera por parte de FORD sobre la existencia de circunstancia alguna que obligara a mantener tales datos, dicha entidad debió adoptar todas las medidas necesarias para que dicha cancelación fuese efectiva y disponer que aquellos datos fuesen extraídos de sus ficheros o bloqueados, impidiendo con ello cualquier uso posterior. V El artículo 44.3.
7. e)de la LOPD señala que constituye infracción de carácter grave “el impedimento o la obstaculización del ejercicio de los derechos de acceso y oposición y la negativa a facilitar la información que sea solicitada”. En el presente procedimiento ha quedado acreditado que FORD ha incurrido en la infracción descrita ya que no canceló los datos personales del denunciante existentes en sus ficheros impidiendo, por tanto, el derecho de cancelación amparado por el artículo 16 de la LOPD, conducta que encuentra su tipificación como grave en el transcrito artículo 44.3.
8. e)de la citada Ley Orgánica. FORD, como responsable del fichero, no resolvió sobre la petición de acceso en el plazo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/15 máximo de diez días. La vulneración de lo dispuesto en el artículo 16 de la LOPD se entiende consumada, considerando la solicitud formulada por el denunciante, que no fue atendida por dicha entidad. La entidad FORD debió proceder al borrado físico de los datos del denunciante o a su bloqueo, una vez estimada la solicitud de cancelación de los datos, restringiendo su tratamiento a los usos estrictamente recogidos en el artículo 16.3 de la LOPD. VI El apartado 6 del artículo 45 de la LOPD establece lo siguiente: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
9. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
10. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. FORD ha solicitado la aplicación de este artículo, señalando que tiene programas de cumplimiento a nivel mundial relativos a la protección de datos de carácter personal. No obstante, en el presente caso, atendida la naturaleza de los hechos, no se estima aplicable la previsión contenida en el mismo, que se declara expresamente como excepcional y cuya ponderación corresponde al órgano sancionador atendidas las circunstancias concurrentes y los presupuestos contenidos en el artículo mencionado. Así, en este caso, se considera especialmente el volumen de tratamientos que resulta de la actividad de la entidad imputada, que viene a exigir el establecimiento de protocolos que aseguren el seguimiento puntual y la atención de los derechos que pudieran ejercitar los ciudadanos ante dicha entidad y eviten que no resulten atendidos, así como la diligencia debida que resulta exigible en estos casos. Además, se considera especialmente que FORD, una vez recibida la solicitud del denunciante, estuvo más atenta a sus intereses, intentando recuperar un cliente potencial, que al respeto de la decisión adoptada por el afectado titular de los datos en cuestión. VII El artículo 45.1, 2, 4 y 5 LOPD establece lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros”. “4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/15
11. a)El carácter continuado de la infracción.
12. b)El volumen de los tratamientos efectuados.
13. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
14. d)El volumen de negocio o actividad del infractor.
15. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
16. f)El grado de intencionalidad.
17. g)La reincidencia por comisión de infracciones de la misma naturaleza.
18. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
19. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
20. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora”. “5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
21. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
22. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
23. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
24. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
25. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. En cuanto a la aplicación de lo dispuesto en el artículo 45.5 de la LOPD solicitada por la entidad FORD, la Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto <<…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos”. El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien alguna otra de las circunstancias que el mismo precepto cita. Así, el citado artículo 45.5 de la LOPD debe aplicarse de forma excepcional y cuando se den suficientes circunstancias para ello. En el presente caso, se estima que concurren diversos criterios de los enunciados en el artículo 45.4 de la LOPD, necesarios para que pueda establecerse la sanción aplicando la escala relativa a las infracciones leves, como son la ausencia de reincidencia (se tiene en cuenta de forma especial que la entidad FORD no ha sido sancionada anteriormente por ningún tipo de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/15 infracción en esta materia), la ausencia de beneficios y que no se han provocado perjuicios distintos a los que derivan de la propia infracción cometida. Asimismo, se considera el hecho de que FORD tiene implementados procedimientos para el ejercicio de los derechos de cancelación por parte de los afectados que, además, están siendo revisados para su mejora. Por todo ello, procede imponer una multa cuyo importe se encuentre entre 900 y 40.000 euros, en aplicación de lo previsto en el apartado 1 del citado artículo 45 de la LOPD, al tener la infracción imputada la consideración de grave y por aplicación de lo dispuesto en el apartado 5 del mismo artículo. En el presente caso, por tanto, teniendo en consideración los criterios de graduación de las sanciones establecidos en el artículo 45.4, y en particular, por un lado, el volumen de tratamientos afectados por la infracción (únicamente los relativos al denunciante), y por otro, la actividad del infractor, la diligencia debida exigible y el grado de intencionalidad (la entidad pretendió recupera un cliente potencial en lugar de atender el derecho ejercitado), procede la imposición de una multa por importe de 6.000 euros por la infracción cometida. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad FORD ESPAÑA, S.L., por una infracción del artículo 16 de la LOPD, tipificada como grave en el artículo 44.3.
26. e)de dicha norma, una multa de 6.000 euros (seis mil euros), de conformidad con lo establecido en el artículo 45.1, 2, 4 y 5 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a FORD ESPAÑA, S.L. y a D. A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/15 reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es